Что такое JWT?

⇨ JSON Web Token — это открытый стандарт (RFC 7519) для безопасной передачи данных между сторонами в виде JSON-объекта.
⇨ Это компактный и самодостаточный способ представить набор утверждений (claims) между двумя сторонами.

Структура JWT

JWT состоит из трёх частей, разделённых точками (.):

1. Header

⇨ Указывает алгоритм подписи (например, HS256 или RS256) и тип токена (JWT).

2. Payload (Claims)

⇨ Содержит утверждения о сущности (чаще всего — пользователе) и дополнительную информацию.

Типы claims:

➀ Registered claims — стандартизированные: iss, exp, sub, aud и т.д.
➁ Public claims — настраиваются вашим приложением.
➂ Private claims — используются по соглашению между сторонами.

3. Signature

⇨ Создаётся путём подписи закодированных header и payload с использованием секрета или приватного ключа.
⇨ Гарантирует подлинность и целостность токена.
Безопасность

При работе с JWT и другими механизмами аутентификации очень важен качественный ревью код.

Инструменты вроде coderabbitai помогают находить уязвимости уже на этапе pull request'ов — с контекстным и построчным анализом.

Такие помощники формируют привычку писать безопасный и чистый код с самого начала 💖

👉 Java Portal